Auch außerhalb des Browsers Internet Explorer verrät Mausbewegungen

Webseiten können im Internet Explorer Mausbewegungen abfragen, auch solche, die außerhalb des Browserfensters gemacht werden. Angreifer könnten damit beispielsweise Eingaben auf virtuellen Tastaturen abfangen.

Das Webanalyse-Unternehmen Spider.io hat eine Sicherheitslücke in Microsofts Browser Internet Explorer entdeckt: In den Versionen 6 bis 10 können Webseiten die Bewegungen des Mauspfeils überall auf dem Bildschirm überwachen, selbst dann, wenn das Fenster des Browsers minimiert ist.

Spider.io hat nach eigenen Angaben Microsoft bereits am 1. Oktober 2012 über das Problem informiert. Ein Mitarbeiter aus Microsofts Security Research Center habe das Problem zwar bestätigt, aber zugleich angegeben, dass es keine Pläne gebe, die Sicherheitslücke zeitnah zu schließen.

Laut Spider.io nutzen mindestens zwei Webanalyse-Unternehmen die Sicherheitslücke bereits aus, was die Sicherheit virtueller Tastaturen untergräbt, weshalb das Unternehmen an die Öffentlichkeit geht. Virtuelle Tastaturen werden mitunter verwendet, um sicherzugehen, dass Eingaben nicht per Keylogger abgefangen werden können.

Das Problem besteht in der Funktion fireEvent(), mit der Webentwickler eigene Ereignisse auslösen können. Dabei kann jederzeit die Cursor-Position abgefragt werden.

Unter iedataleak.spider.io/demo stellt Spider.io eine Demo bereit. Der entsprechende Code wurde in einem Blogeintrag veröffentlicht.

Nachtrag vom 13. Dezember 2012, 15:15 Uhr

Mittlerweile hat sich Microsoft offiziell zu dem Bericht geäußert: "Wir untersuchen derzeit den Fall. Aktuell gibt es keine Berichte zu gezielten Angriffen oder betroffenen Anwendern. Sobald weitere Informationen vorliegen, werden wir diese bereitstellen und angemessene Maßnahmen ergreifen, unsere Kunden zu schützen."